New Jersey
¿Qué es la NJDPA? Ley de Privacidad de Datos de Nueva Jersey
Verificado de forma independiente contra fuentes primarias (última auditoría: 15 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 8 de agosto de 2026. · 7 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
La Ley de Privacidad de Datos de Nueva Jersey (NJDPA) es la ley integral de privacidad de datos del consumidor de Nueva Jersey, codificada en N.J.S.A. 56:8-166.4 y siguientes. Fue promulgada como el Proyecto de Ley del Senado S332, firmado por el gobernador Phil Murphy el 16 de enero de 2024, y entró en vigor el 15 de enero de 2025. Otorga a los residentes de Nueva Jersey el derecho a acceder, corregir, eliminar y trasladar sus datos personales, y a optar por no participar en la publicidad dirigida, la venta de datos personales y cierta elaboración de perfiles.
A partir de 2026, la Fiscalía General de Nueva Jersey y la División de Asuntos del Consumidor hacen cumplir la ley bajo la Ley de Fraude al Consumidor de Nueva Jersey, con sanciones civiles de hasta $10,000 por la primera infracción y $20,000 por cada infracción subsiguiente. El derecho a corregir de 30 días en el que confían las empresas está programado para expirar aproximadamente 18 meses después de la fecha de vigencia, alrededor del 15 de julio de 2026, por lo que, a mediados de 2026, la ventana de corrección garantizada está en sus últimas semanas.
Alcance jurisdiccional: Esto cubre la Ley de Privacidad de Datos de Nueva Jersey (N.J.S.A. 56:8-166.4 y siguientes). Es información legal general, no asesoría legal.
Qué es la NJDPA: estatuto, promulgación y fecha de vigencia
La Ley de Privacidad de Datos de Nueva Jersey es la primera ley integral de privacidad de datos del consumidor del estado. Está codificada en el Título 56 de los Estatutos de Nueva Jersey, que abarca desde N.J.S.A. 56:8-166.4 hasta 56:8-166.19. Las definiciones que rigen el resto de la ley se encuentran en N.J.S.A. 56:8-166.4.
La ley fue promulgada como el Proyecto de Ley del Senado S332 y firmada por el gobernador Phil Murphy el 16 de enero de 2024, convirtiéndose en la P.L. 2023, c. 266. Luego entró en vigor el 15 de enero de 2025, dando a las empresas cubiertas aproximadamente un año para desarrollar programas de cumplimiento antes de que comenzaran sus obligaciones.
A partir de 2026, la NJDPA está plenamente en vigor. Todo responsable del tratamiento que cumpla con los umbrales de aplicabilidad en N.J.S.A. 56:8-166.5 debe atender las solicitudes de derechos del consumidor, respetar las señales de exclusión voluntaria, obtener consentimiento antes de procesar datos sensibles y mantener un aviso de privacidad conforme. Para conocer el conjunto completo de obligaciones de los responsables y encargados del tratamiento, consulte la página principal de las leyes de privacidad de datos de Nueva Jersey.
A quién cubre la NJDPA: los umbrales de 100,000 y 25,000
La prueba de aplicabilidad se encuentra en N.J.S.A. 56:8-166.5. La ley se aplica a cualquier responsable del tratamiento que realiza negocios en Nueva Jersey, o que produce productos o servicios dirigidos a residentes de Nueva Jersey, y que durante un año calendario cumplió con cualquiera de dos umbrales de datos.
El primer desencadenante es controlar o procesar los datos personales de al menos 100,000 consumidores, excluyendo los datos personales procesados únicamente con el fin de completar una transacción de pago. Esa exclusión de pagos significa que un comerciante no cuenta los datos rutinarios de finalización de transacciones para la cifra de 100,000.
El segundo desencadenante es controlar o procesar los datos personales de al menos 25,000 consumidores mientras el responsable del tratamiento obtiene ingresos, o recibe un descuento en el precio de cualquier bien o servicio, a partir de la venta de datos personales. El "consumidor" de Nueva Jersey conforme a N.J.S.A. 56:8-166.4 es un residente que actúa en un contexto individual o doméstico, no en un contexto comercial o laboral, por lo que los datos de empleados y entre empresas generalmente no cuentan.
El desencadenante de ingresos o descuento sin piso de porcentaje
El segundo elemento de aplicabilidad es una de las características más distintivas de la NJDPA. Muchas leyes estatales de privacidad establecen su desencadenante de menor número de consumidores en una proporción fija de ingresos, a menudo el 25 por ciento o el 50 por ciento derivado de la venta de datos personales. Nueva Jersey no lo hace.
Conforme a N.J.S.A. 56:8-166.5, un responsable del tratamiento con 25,000 consumidores queda cubierto si obtiene cualquier ingreso, por mínimo que sea, de la venta de datos personales, o incluso si simplemente recibe un descuento en el precio de bienes o servicios a cambio de esos datos. No existe un piso de porcentaje de ingresos que superar.
Esto amplía considerablemente la red de cobertura. Una empresa que vende una cantidad modesta de datos, o que intercambia datos por servicios con descuento de un proveedor, puede quedar cubierta con 25,000 consumidores, aunque esa misma empresa escaparía de una ley que exigiera que la venta de datos representara una proporción significativa de sus ingresos. Las empresas deben tratar cualquier venta de datos o acuerdo de datos por descuento como potencialmente desencadenante, no solo un modelo de negocio basado en datos.
La información financiera como dato sensible: un requisito de consentimiento previo
Los datos sensibles ocupan un lugar central en la NJDPA porque su procesamiento requiere consentimiento previo (opt-in). La definición en N.J.S.A. 56:8-166.4 es amplia, y una inclusión distingue a Nueva Jersey de la mayoría de los demás estados.
Nueva Jersey trata la información financiera como un dato sensible. La definición abarca el número de cuenta de un consumidor, sus credenciales de acceso a la cuenta, su cuenta financiera, o su número de tarjeta de crédito o débito, en combinación con cualquier código de seguridad, código de acceso o contraseña requerida que permitiera el acceso a la cuenta financiera del consumidor. La mayoría de las leyes estatales de privacidad no clasifican en absoluto la información financiera como sensible, por lo que esta es una expansión significativa del requisito de consentimiento.
La definición también abarca los datos que revelen el origen racial o étnico, las creencias religiosas, la condición, tratamiento o diagnóstico de salud mental o física, la vida sexual o la orientación sexual, el estatus de ciudadanía o migratorio, el estatus de persona transgénero o no binaria, los datos genéticos o biométricos procesados para identificar a una persona, los datos personales recopilados de un menor identificado como tal y los datos precisos de geolocalización. La inclusión expresa del estatus de persona transgénero o no binaria, junto con la información financiera, hace que la categoría de datos sensibles de Nueva Jersey sea una de las más amplias del país.
Proceso de reglamentación activo por parte de la División de Asuntos del Consumidor
Una segunda característica distintiva es que la NJDPA ordena un proceso de reglamentación administrativa activo. La mayoría de las leyes estatales de privacidad se hacen cumplir en gran medida tal como están escritas, con poco o ningún desarrollo regulatorio formal. Nueva Jersey tomó un camino diferente.
La Ley instruye al Director de la División de Asuntos del Consumidor, dentro del Departamento de Derecho y Seguridad Pública, a adoptar reglas y reglamentos para implementar la ley. El 2 de junio de 2025, la División publicó regulaciones de privacidad propuestas, abriendo un período de comentarios que se extendió hasta el 1 de agosto de 2025. Las reglas propuestas abordan áreas que el estatuto deja de manera general, incluyendo requisitos detallados de aviso de privacidad, restricciones sobre patrones de diseño engañosos, simetría en las opciones de consentimiento y límites sobre el uso de datos personales para entrenar inteligencia artificial sin consentimiento.
Debido a que las reglas pueden agregar detalles más allá del estatuto, las empresas cubiertas no pueden tratar el texto legal como la última palabra. La capa regulatoria forma parte del panorama de cumplimiento, y la lista de verificación de cumplimiento de la NJDPA explica cómo rastrearla.
La enmienda de 2026: nuevas exenciones y una definición ampliada de datos desidentificados
El gobernador Phil Murphy firmó el Proyecto de Ley de la Asamblea A5017 el 20 de enero de 2026, enmendando la NJDPA con efecto inmediato. La enmienda crea dos exenciones de entidad genuinamente nuevas, para las organizaciones de apoyo a seguros según se definen en la ley de seguros de Nueva Jersey y para las asociaciones nacionales de valores registradas según la Sección 15A de la Ley de Bolsa de Valores de 1934, y amplía dos excepciones existentes: las entidades cubiertas por HIPAA y sus asociados comerciales obtienen un tratamiento más amplio a nivel de entidad, y la exención de investigación con sujetos humanos se amplía para cubrir la investigación realizada bajo las directrices de buenas prácticas clínicas del Consejo Internacional de Armonización y las regulaciones de la FDA.
La enmienda también amplía la definición de datos desidentificados de la NJDPA para cubrir los datos desidentificados bajo el método de Puerto Seguro de HIPAA, siempre que el responsable del tratamiento obligue contractualmente a cualquier destinatario a mantener el estatus de desidentificación y a no intentar la reidentificación. Las empresas que dependan de cualquiera de estas categorías deben confirmar que su procesamiento se ajusta al lenguaje de exención enmendado en lugar del texto original de 2023.
Protecciones para adolescentes de 13 a 16 años
Nueva Jersey agrega una protección distinta para adolescentes que va más allá de los marcos de privacidad infantil más antiguos. Conforme a la Ley, cuando un responsable del tratamiento sabe que un consumidor tiene al menos 13 años y es menor de 17 años, debe obtener consentimiento antes de procesar los datos personales de ese consumidor para publicidad dirigida, la venta de datos personales o la elaboración de perfiles en apoyo de decisiones que produzcan efectos legales o de importancia similar para el consumidor.
Este requisito de consentimiento cubre el rango de edad de 13 a 16 años que la Ley Federal de Protección de la Privacidad en Línea de los Niños, que se enfoca en los menores de 13 años, no alcanza. Para los adolescentes en ese rango, la exclusión voluntaria no es suficiente: el responsable del tratamiento necesita consentimiento afirmativo para esas tres actividades de procesamiento de alto impacto.
La regla de consentimiento para adolescentes opera junto con las protecciones de datos de menores. Los datos personales recopilados de un menor de 13 años identificado como tal son en sí mismos datos sensibles conforme a N.J.S.A. 56:8-166.4, por lo que su procesamiento ya requiere consentimiento.
NJDPA frente a CCPA: las diferencias clave
Las empresas que operan a nivel nacional suelen comparar la NJDPA de Nueva Jersey con la ley de California. La página de comparación de leyes estatales de privacidad de datos cubre el panorama multiestatal más amplio, pero destacan varias diferencias con la CCPA de California.
| Característica | NJDPA de Nueva Jersey | CCPA/CPRA de California |
|---|---|---|
| Umbral de cobertura | 100,000 consumidores, o 25,000 más cualquier ingreso o descuento de la venta de datos; sin piso de monto o porcentaje | $25M de ingresos, 100,000 consumidores, o el 50% de los ingresos provenientes de la venta de datos |
| Desencadenante de nivel inferior | Cualquier ingreso o descuento de la venta de datos (sin piso de porcentaje) | 50% de los ingresos provenientes de la venta o el intercambio de datos |
| Información financiera | Tratada como dato sensible; consentimiento previo (N.J.S.A. 56:8-166.4) | Clasificada como información personal sensible cuando un número de cuenta, tarjeta de débito o tarjeta de crédito se combina con un código de acceso requerido (Cal. Civ. Code Sec. 1798.140(ae)(1)(B)); el consumidor tiene derecho a limitar su uso y divulgación, un modelo de exclusión voluntaria |
| Modelo de datos sensibles | Se requiere consentimiento previo antes del procesamiento | Derecho a limitar el uso; modelo de exclusión voluntaria |
| Reglamentación | Reglas activas de la División de Asuntos del Consumidor (propuestas el 2 de junio de 2025) | Regulaciones detalladas de la CPPA |
| Derecho de acción privado | Ninguno | Limitado, para ciertas violaciones de datos |
La diferencia más importante es el desencadenante de nivel inferior. El umbral de 25,000 consumidores de Nueva Jersey, sin piso de porcentaje de ingresos, alcanza a empresas que la prueba del 50 por ciento de California dejaría fuera. Nueva Jersey también trata la información financiera como sensible y exige consentimiento previo para los datos sensibles, mientras que California utiliza un derecho de exclusión voluntaria para limitar su uso. Ambos estados canalizan la aplicación a través de reguladores estatales, y ni la NJDPA ni la CCPA otorgan a los consumidores un derecho de acción privado general por infracciones de privacidad.
Guías relacionadas
Preguntas frecuentes
¿Qué es la NJDPA?
La NJDPA, o Ley de Privacidad de Datos de Nueva Jersey, es la ley integral de privacidad de datos del consumidor de Nueva Jersey, codificada en N.J.S.A. 56:8-166.4 y siguientes. Fue promulgada como el Proyecto de Ley del Senado S332, firmado por el gobernador Phil Murphy el 16 de enero de 2024, y entró en vigor el 15 de enero de 2025. Otorga a los residentes de Nueva Jersey derechos sobre sus datos personales y exige que los responsables del tratamiento cubiertos sean transparentes sobre cómo los recopilan, usan y divulgan.
¿Cuándo entró en vigor la NJDPA?
La NJDPA entró en vigor el 15 de enero de 2025. Un responsable del tratamiento debe reconocer un mecanismo universal de exclusión voluntaria, como Global Privacy Control, a más tardar seis meses después de esa fecha, es decir, aproximadamente el 15 de julio de 2025. El derecho a corregir de 30 días está programado para expirar aproximadamente 18 meses después de la fecha de vigencia, alrededor del 15 de julio de 2026.
¿Cuáles son los umbrales de cobertura de la NJDPA?
Conforme a N.J.S.A. 56:8-166.5, la NJDPA cubre a cualquier responsable del tratamiento que realiza negocios en Nueva Jersey o se dirige a residentes de Nueva Jersey y que, durante un año calendario, controló o procesó los datos personales de al menos 100,000 consumidores (excluyendo los datos utilizados únicamente para completar una transacción de pago), o de al menos 25,000 consumidores mientras obtiene algún ingreso, o un descuento en bienes o servicios, a partir de la venta de datos personales. El segundo desencadenante no tiene un piso de porcentaje de ingresos.
¿La NJDPA trata la información financiera como dato sensible?
Sí. Conforme a N.J.S.A. 56:8-166.4, los datos sensibles incluyen la información financiera, definida como el número de cuenta de un consumidor, sus credenciales de acceso a la cuenta, su cuenta financiera, o su número de tarjeta de crédito o débito en combinación con cualquier código de seguridad, código de acceso o contraseña requerida que permitiera el acceso a la cuenta financiera. La mayoría de las leyes estatales de privacidad no clasifican la información financiera como sensible, por lo que esta es una característica distintiva, y el procesamiento de datos sensibles requiere consentimiento previo (opt-in).
¿Qué se considera dato sensible bajo la NJDPA?
Conforme a N.J.S.A. 56:8-166.4, los datos sensibles incluyen los datos que revelen el origen racial o étnico, las creencias religiosas, la condición, tratamiento o diagnóstico de salud mental o física, la información financiera, la vida sexual o la orientación sexual, el estatus de ciudadanía o migratorio, el estatus de persona transgénero o no binaria, los datos genéticos o biométricos, los datos personales recopilados de un menor identificado como tal y los datos precisos de geolocalización. El procesamiento de cualquier dato sensible requiere el consentimiento previo (opt-in) del consumidor.
¿La NJDPA exige reconocer una señal universal de exclusión voluntaria?
Sí. La NJDPA exige que los responsables del tratamiento reconozcan un mecanismo universal de exclusión voluntaria, como Global Privacy Control, que permite a los consumidores optar por no participar en la publicidad dirigida y la venta de sus datos personales a través de una configuración del navegador o del dispositivo. Esa obligación entró en vigor a más tardar seis meses después de la fecha de vigencia de la ley, es decir, aproximadamente el 15 de julio de 2025.
¿En qué se diferencia la NJDPA de la CCPA?
Diferencias clave: el desencadenante de nivel inferior de Nueva Jersey, de 25,000 consumidores, solo requiere cualquier ingreso o un descuento de la venta de datos, sin piso de porcentaje, mientras que el desencadenante inferior de California requiere obtener el 50 por ciento de los ingresos de la venta o el intercambio de datos; Nueva Jersey trata la información financiera como un dato sensible sujeto a consentimiento previo; California también trata un número de cuenta financiera, de tarjeta de débito o de crédito combinado con un código de acceso requerido como información personal sensible, pero lo maneja con un derecho de exclusión voluntaria para limitar en lugar de un requisito de consentimiento previo, en línea con el patrón más amplio de que Nueva Jersey utiliza un modelo de consentimiento previo para los datos sensibles, mientras que California utiliza un derecho de exclusión voluntaria para limitar su uso. Ninguna de las dos leyes otorga a los consumidores un derecho de acción privado general.
¿Quién hace cumplir la NJDPA?
La Fiscalía General de Nueva Jersey y la División de Asuntos del Consumidor hacen cumplir la NJDPA bajo la Ley de Fraude al Consumidor de Nueva Jersey. No existe un derecho de acción privado. Una infracción puede conllevar sanciones civiles de hasta $10,000 por la primera infracción y $20,000 por cada infracción subsiguiente. Se aplica un derecho a corregir de 30 días, pero está programado para expirar aproximadamente 18 meses después de la fecha de vigencia, alrededor del 15 de julio de 2026.
Actualizaciones
Corrected the NJDPA-vs-CCPA comparison to reflect that California also treats a financial account or card number combined with an access code as sensitive personal information (it uses an opt-out right to limit, not an opt-in requirement); added coverage of the January 20, 2026 A5017 amendment, which added new exemptions and expanded the de-identified-data definition; and restored the statutory qualifier on the teen-consent profiling trigger.
Verificado de forma independiente contra las fuentes primarias citadas
Corrected the NJDPA right-to-cure sunset date and fixed a now-stale framing. The enacted law (P.L. 2023, c.266, Section 14.b) sunsets the Division of Consumer Affairs' pre-enforcement cure notice 'on the first day of the 18th month next following the effective date' -- effective date January 15, 2025, so the sunset is July 1, 2026, not 'around July 15, 2026.' The article also described the cure window as 'in its final weeks' as of mid-2026, which is now wrong on any reading since the audit date is well past July 1, 2026 -- the window has already closed.
Ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en 4 disposiciones legales conservadas en nuestro propio registro jurídico, cada una obtenida de la fuente oficial. Toque una sección para leer el texto vigente.
New Jersey Statutes (Unannotated)
§ 56:8-166.19Authority, enforcement.Vigentecitada en 2 de nuestros artículos
16. The Office of the Attorney General shall have sole and exclusive authority to enforce a violation of P.L.2023, c.266 (C.56:8-166.4 et seq.). Nothing in P.L.2023, c.266 (C.56:8-166.4 et seq.) shall be construed as providing the basis for, or subject to, a private right of action for violations of P.L.2023, c.266 (C.56:8-166.4 et seq.).
Texto oficial (extracto) · al 2026-08-01 · Lea la sección completa en lis.njleg.state.nj.us
§ 56:8-166.4Definitions.Vigentecitada en 5 de nuestros artículos
1. As used in P.L.2023, c.266 (C.56:8-166.4 et seq.): "Affiliate" means a legal entity that controls, is controlled by, or is under common control with another legal entity. For the purposes of this definition, "control" means: the ownership of or the power to vote, more than 50 percent of the outstanding shares of any class of voting security of a company; the control in any manner over the election of a majority of the directors or individuals exercising similar functions; or the power to exercise a controlling influence over the management or policies of a company. "Biometric data" means data generated by automatic or technological processing, measurements, or analysis of an individual's biological, physical, or behavioral characteristics, including, but not limited to, fingerprint, voiceprint, eye retinas, irises, facial mapping, facial geometry, facial templates, or other unique biological, physical, or behavioral patterns or characteristics that are used or intended to be used, singularly or in combination with each other or with other personal data, to identify a specific individual.
Texto oficial (extracto) · al 2026-08-01 · Lea la sección completa en lis.njleg.state.nj.us
§ 56:8-166.5Applicability; consumers, personal data, control, processing.Vigentecitada en 2 de nuestros artículos
2. Notwithstanding any State law, rule, regulation, or order to the contrary, the provisions of P.L.2023, c.266 (C.56:8-166.4 et seq.) shall only apply to controllers that conduct business in the State or produce products or services that are targeted to residents of the State, and that during a calendar year either: a. control or process the personal data of at least 100,000 consumers, excluding personal data processed solely for the purpose of completing a payment transaction; or b. control or process the personal data of at least 25,000 consumers and the controller derives revenue, or receives a discount on the price of any goods or services, from the sale of personal data.
Texto oficial (extracto) · al 2026-08-01 · Lea la sección completa en lis.njleg.state.nj.us
§ 56:8-166.6Controller, consumer, privacy notice, personal data; disclosure, sale.Vigentecitada en 3 de nuestros artículos
3. a. A controller shall provide to a consumer a reasonably accessible, clear, and meaningful privacy notice that shall include, but may not be limited to: (1) the categories of the personal data that the controller processes; (2) the purpose for processing personal data; (3) the categories of all third parties to which the controller may disclose a consumer's personal data; (4) the categories of personal data that the controller shares with third parties, if any; (5) how consumers may exercise their consumer rights, including the controller's contact information and how a consumer may appeal a controller's decision with regard to the consumer's request; (6) the process by which the controller notifies consumers of material changes to the notification required to be made available pursuant to this subsection, along with the effective date of the notice; and (7) an active electronic mail address or other online mechanism that the consumer may use to contact the controller.
Texto oficial (extracto) · al 2026-08-01 · Lea la sección completa en lis.njleg.state.nj.us
Fuentes y referencias
- N.J.S.A. 56:8-166.4: Definiciones (Datos Sensibles, Información Financiera)(pub.njleg.state.nj.us).gov
- N.J.S.A. 56:8-166.5: Aplicabilidad y Umbrales(pub.njleg.state.nj.us).gov
- N.J.S.A. 56:8-166.6: Aviso de Privacidad y Ejercicio de los Derechos del Consumidor(pub.njleg.state.nj.us).gov
- N.J.S.A. 56:8-166.19: Autoridad y Aplicación(pub.njleg.state.nj.us).gov
- Legislatura de Nueva Jersey: Página del Proyecto de Ley S332 (Sesión 2022-2023)(njleg.state.nj.us).gov
- División de Asuntos del Consumidor de Nueva Jersey(njconsumeraffairs.gov).gov
- NJCCIC: Nueva Jersey Promulga una Ley Integral de Privacidad de Datos(cyber.nj.gov).gov